Le pont inter-chaînes Hyperbridge est attaqué : l’attaquant frappe 1 milliard de jetons DOT et les déverse pour faire chuter le cours

L’organisme de sécurité CertiK a détecté le 13 avril une attaque par exploitation de vulnérabilité contre le contrat de passerelle inter-chaînes Hyperbridge. L’attaquant a utilisé de faux messages pour contourner la validation du contrat, modifiant avec succès les droits d’administrateur du contrat de jetons DOT interconnectés (bridgés) de Polkadot, puis a émis illégalement 1 milliard de jetons DOT bridgés et les a tous revendus dans une seule transaction. Au final, le profit ne s’élève qu’à 108,2 ETH, soit l’équivalent d’environ 237 000 dollars.

Mécanisme d’attaque : comment de faux messages inter-chaînes permettent d’obtenir le contrôle d’administrateur

（Source：CertiK）

Hyperbridge est un protocole de passerelle inter-chaînes déployé sur Ethereum, qui permet aux actifs de réseaux comme Polkadot de circuler sur Ethereum sous forme de jetons bridgés. D’après le suivi de CertiK, l’attaquant a identifié une vulnérabilité de validation des messages dans le contrat et, en construisant de faux messages inter-chaînes pour contourner les contrôles de validité requis, a réussi à s’emparer du contrôle d’administrateur du contrat de jetons DOT bridgés.

Après avoir obtenu les droits d’administrateur, l’attaquant a effectué des opérations d’émission de jetons non autorisées, créant arbitrairement 1 milliard de jetons DOT bridgés, puis les a tous revendus dans une seule transaction. L’ensemble du processus — fabriquer de faux messages, modifier l’administrateur, frapper (émettre) des jetons, clôturer les positions (liquider) — s’est déroulé entièrement on-chain. L’outil de suivi Lookonchain confirme que cette transaction n’a finalement permis d’encaisser que 108,2 ETH.

Pourquoi 1 milliard de jetons ne rapportent que 237 000 dollars : la mathématique impitoyable du piège de liquidité

Le détail le plus ironique de cette attaque est l’écart massif entre 1 milliard de jetons et 237 000 dollars. Les données de Lookonchain indiquent que, avant la vente, le prix proposé du DOT bridgé était d’environ 1,22 dollar. L’espace d’arbitrage maximal théorique dépasserait alors 1,2 milliard de dollars ; cependant, l’énorme pression de vente d’1 milliard de jetons a, en un instant, dépassé la profondeur de liquidité que la chaîne pouvait absorber. Le prix de la pièce est passé de 1,22 dollar à presque zéro, et l’écrasante majorité des jetons nouvellement émis s’est révélée comme sans valeur.

C’est un piège de liquidité typique : l’attaquant peut créer des jetons, mais ne peut pas créer des acheteurs.

Résumé des données clés de la présente attaque

Contrat visé : le contrat de passerelle inter-chaînes Hyperbridge sur la chaîne Ethereum

Méthode d’attaque : fabriquer de faux messages inter-chaînes et modifier les droits d’administrateur du contrat de jetons DOT bridgés

Quantité émise illégalement : 1 milliard de jetons DOT bridgés sur Ethereum

Prix du jeton avant la vente : environ 1,22 dollar ; après la vente : proche de zéro

Bénéfice réel de l’attaquant : 108,2 ETH (environ 237 000 dollars)

Arbitrage théorique le plus élevé : si la liquidité est suffisante, il pourrait théoriquement dépasser 1,2 milliard de dollars

Zone touchée : DOT bridgé sur Ethereum ; la chaîne native Polkadot n’est pas affectée directement

Distinction importante : la limite de sécurité entre les actifs bridgés et le DOT natif de Polkadot

L’objectif de la présente attaque était le contrat de jetons DOT bridgés déployé sur Ethereum ; la machine de consensus de la chaîne principale native Polkadot et du jeton DOT natif n’ont pas été attaqués directement ni affectés dans cet incident.

Les ponts inter-chaînes (bridges) sont depuis longtemps l’un des maillons les plus concentrés en risques de sécurité dans l’écosystème DeFi. Les contrats intelligents des actifs bridgés sont généralement déployés de manière indépendante. Le niveau d’audit de sécurité et les mécanismes de surveillance peuvent différer de ceux de la chaîne native, ce qui permet à un attaquant de provoquer des dégâts en exploitant uniquement les vulnérabilités du contrat de bridge, sans toucher à la chaîne principale. Les utilisateurs détenant des actifs bridgés doivent comprendre clairement que les risques qu’ils supportent ne proviennent pas seulement de la couche de base de la chaîne, mais aussi de la sécurité des contrats de l’infrastructure de bridging elle-même.

Questions fréquentes

Qu’est-ce qu’Hyperbridge ? Quel est son lien avec Polkadot ?

Hyperbridge est un protocole de passerelle inter-chaînes déployé sur Ethereum, qui permet aux actifs de réseaux comme Polkadot de circuler sur Ethereum sous forme de jetons bridgés. C’est l’une des infrastructures qui relient les écosystèmes Polkadot et Ethereum, mais, dans l’architecture technique, elle est indépendante du fonctionnement de la chaîne principale native de Polkadot.

L’attaquant a émis 1 milliard de DOT ; pourquoi n’a-t-il finalement gagné que 237 000 dollars ?

Lorsque l’attaquant a vendu 1 milliard de DOT bridgés, la profondeur de liquidité sur la chaîne Ethereum était très insuffisante pour absorber une vente d’une telle ampleur. La pression de vente a fait chuter le prix du jeton de 1,22 dollar en l’espace d’un instant jusqu’à presque zéro, entraînant que la quasi-totalité des jetons nouvellement émis pouvait à peine être convertie en fonds. Finalement, il n’a pu vendre qu’une très petite proportion avant l’effondrement du marché, encaissant environ 108,2 ETH.

Cette attaque a-t-elle affecté les détenteurs de DOT sur la chaîne native de Polkadot ?

D’après l’analyse de CertiK, la cible de l’attaque était le contrat de DOT bridgé sur Ethereum ; la chaîne principale native Polkadot et le jeton DOT natif n’ont pas été affectés directement. Les investisseurs détenant du DOT de la chaîne principale Polkadot sont confrontés à un impact émotionnel de marché indirect, plutôt qu’à un risque de sécurité direct des actifs de base.